WildFly 11使用证书发起HTTPS请求的配置疑问

你遇到的这个sun.security.validator.ValidatorException本质是JVM的信任存储里没有目标HTTPS服务器的证书（或其签发CA的证书），而且你之前按Elytron文档配置没生效，大概率是因为HttpsURLConnection默认走JVM自带的JSSE实现，不会自动复用WildFly Elytron的服务器端配置——我来给你梳理几个可行的解决思路：

方案一：导入证书到JVM全局信任库（最通用的全局方案） #

这是所有Java应用都能复用的方案，步骤如下：

1. 获取目标服务器证书
   用OpenSSL命令导出证书（Linux/macOS环境）：

   openssl s_client -connect someUrl:443 </dev/null | openssl x509 -outform PEM -out someUrl.crt
   

   Windows环境可以直接用浏览器访问目标URL，从地址栏的锁图标导出证书为Base64编码的CER格式。
2. 导入到JVM信任库
   Java 9的默认信任库路径是$JAVA_HOME/lib/security/cacerts，默认密码为changeit，执行以下命令导入：

   keytool -importcert -file someUrl.crt -alias someUrl -keystore $JAVA_HOME/lib/security/cacerts
   

3. 重启WildFly，之后所有JVM内的应用都会信任这个证书。

方案二：在应用代码中自定义信任管理器（仅当前应用生效） #

如果不想修改全局信任库，可以在代码里加载自定义信任存储，示例代码如下：

// 加载自定义信任库（需提前把目标证书导入到my-truststore.jks文件）
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
KeyStore ks = KeyStore.getInstance("JKS");
// 建议把信任库放到WEB-INF目录下，避免硬编码路径
ks.load(new FileInputStream(getServletContext().getRealPath("/WEB-INF/my-truststore.jks")), "你的信任库密码".toCharArray());
tmf.init(ks);

// 初始化自定义SSLContext并设置给HttpsURLConnection
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, tmf.getTrustManagers(), null);
HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());

// 执行你的请求
final URL url = new URL("https://someUrl");
HttpsURLConnection httpURLConnection = (HttpsURLConnection)url.openConnection();
// ...后续请求逻辑

方案三：让Elytron接管应用的JSSE连接（适配WildFly环境） #

你之前的Elytron配置没生效，是因为没让应用代码关联到Elytron的SSL上下文，可按以下步骤配置：

1. 在standalone-full.xml的Elytron子系统中定义信任存储和SSL上下文：

   <subsystem xmlns="urn:wildfly:elytron:1.2" final-providers="combined-providers" disallowed-providers="OracleUcrypto">
     <!-- 定义信任存储（文件放在WildFly的config目录下） -->
     <trust-stores>
       <file-trust-store name="appTrustStore" path="my-truststore.jks" relative-to="jboss.server.config.dir" credential-reference="trustStoreCred"/>
     </trust-stores>
     <!-- 定义信任管理器 -->
     <trust-managers>
       <trust-manager name="appTrustManager" trust-store="appTrustStore"/>
     </trust-managers>
     <!-- 定义SSL上下文 -->
     <ssl-contexts>
       <ssl-context name="appSSLContext" trust-manager="appTrustManager" protocols="TLSv1.2"/>
     </ssl-contexts>
     <!-- 信任库密码凭证 -->
     <credentials>
       <clear-credential name="trustStoreCred" clear-text="你的信任库密码"/>
     </credentials>
   </subsystem>
   

2. 配置系统属性让JSSE使用Elytron的信任库：
   在standalone-full.xml的<system-properties>节点添加：

   <property name="javax.net.ssl.trustStore" value="${jboss.server.config.dir}/my-truststore.jks"/>
   <property name="javax.net.ssl.trustStorePassword" value="你的信任库密码"/>
   

   这样HttpsURLConnection就会自动使用WildFly配置的信任库，而非JVM全局的cacerts。

额外排查点 #

• 确认导入的证书完整：如果目标服务器使用的是带中间CA的证书链，要确保导入了完整的链，而非仅服务器证书。
• Java 9默认禁用了弱加密协议，如果目标服务器只支持TLSv1.0/1.1，需要在WildFly启动参数中添加-Djdk.tls.client.protocols=TLSv1.2,TLSv1.1。
• 用keytool -list -keystore 你的信任库路径 -alias someUrl验证证书是否成功导入。

内容的提问来源于stack exchange，提问作者Bruno Morais